【风险控制管理】公司信息安全风险评估报告样例（☆☆☆）.pdfVIP

XX公司信息安全风险评估报告

一、信息安全与信息安全风险评估概述

（一）信息安全风险

信息安全风险指信息资产的可用性、必威体育官网网址性、完整性受到破坏的

可能及其对XX公司（下称“XXXX”）造成的负面影响。基于安全风险，

信息安全管理的核心在于通过识别风险、选择对策、实施对策以减缓

风险，最终保证信息资产的必威体育官网网址性、安全性和可用性能够满足XXXX

要求。对于XXXX而言，获得信息和信息系统的稳定支持，是将信息

安全风险降到最低，从而实现投资商业目标的重要保障。

（二）信息安全风险评估

信息安全风险评估是参照XXXX规章制度和风险评估标准，对信

息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行

分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理

措施的过程。

本次信息安全风险评估参考文件有：《XXXX有限责任公司风险管

理办法》、《XXXX有限责任公司风险管理指引》、《XXXX有限责任公司

风险政策指引》、《XXXX有限责任公司固定资产管理办法》、国家标准

《信息系统安全等级评测准则》等。

（三）风险评估相关概念

风险评估涉及如下概念：

1、资产：任何对XXXX有价值的事物，包括计算机硬件、通信设

施、数据库、软件、信息服务和人员等。

1

2、威胁：指可能对资产造成损害的事故的潜在原因。例如，XXXX

的网络系统可能受到来自计算机病毒和黑客攻击的威胁。

3、脆弱点：是指资产或资产组中能被威胁利用的弱点。如员工

缺乏信息安全意识，OA系统本身有安全漏洞等。

4、安全需求：为保证XXXX业务战略的正常运作而在安全措施方

面提出的要求。

5、风险：特定威胁利用资产的脆弱点给资产或资产组带来损害

的潜在可能性。

6、残留风险：在实施安全措施之后仍然存在的风险。

7、风险评估：对信息和信息处理设施的威胁、影响和脆弱点及

三者发生的可能性评估。

二、信息安全风险评估工作设计

（一）信息安全风险评估目的

此次风险评估的目的是全面、准确地了解XXXX的信息管理安全

现状，发现系统的安全问题及其可能的危害，为保证系统的最终安全

提供建议。

（二）信息安全风险评估相关规章制度及技术标准

《XXXX有限责任公司风险管理办法》

《XXXX有限责任公司风险管理指引》

《XXXX有限责任公司风险政策指引》

《XXXX有限责任公司固定资产管理办法》

2

《信息系统安全等级评测准则》

《XXXX有限责任公司员工办公电脑管理办法》

《信息技术、安全技术、信息安全性评估准则》（GB/T18336-2001）

（三）信息安全风险评估方法

本次信息安全风险评估工作主要采用工作人员自查、文档信息挖

掘和评估人员分析三种方式。在此基础上，从筛选资产、研判威胁和

分析脆弱性三个方面进行全面评价。评估方法为风险矩阵测量方法，

在资产、威胁和脆弱性的不同维度上赋值，以此得出较为客观的评估。

（四）信息安全风险评估模型

参考国际标准GB/T18336-2001，建立信息系统风险评估模型如

图：

资产拥信息资产价值

有者

后果

弱点难易程度

风险

威胁可能性

可能性

威胁来

源影响严重性

3

（五）信息安全风险评估实施流程图